azure - 为什么外部使用者的 Azure API 管理中的客户端身份验证需要 PFX 文件？

Question

这个article解释了可以使用 azure api 管理进行客户端认证身份验证。以下是本文的摘录:

API 管理提供使用客户端证书安全访问 API(即客户端到 API 管理)的功能。目前，您可以根据所需值检查客户端证书的指纹。您还可以根据上传到 API 管理的现有证书检查指纹。

它包含指向 another article 的链接其中解释了如何将客户端证书添加到 azure api 管理，以便仅在与后端服务通信时在使用客户端证书身份验证的上下文中使用客户端证书。这显然需要加载 PFX 文件(其中包含私钥)。

但是，我有兴趣使用 API 管理来验证来自 API 管理中托管的 API 使用者的客户端证书。第一篇文章似乎表明 api 管理可以接收客户端证书以验证消费者。第一篇文章中的其中一个策略如下所示:

<choose>
    <when condition="@(context.Request.Certificate == null || !context.Deployment.Certificates.Any(c => c.Value.Thumbprint == context.Request.Certificate.Thumbprint))" >
        <return-response>
            <set-status code="403" reason="Invalid client certificate" />
        </return-response>
    </when>
</choose>

这意味着我应该只能从 API 使用者上传客户端证书的公共(public)部分。然而，它不允许非 pfx 文件。 我在这里缺少什么？

Answer 1

抱歉耽搁了。您可以上传的证书主要用于与后端进行身份验证。进行客户端证书验证的推荐解决方案只是检查策略中的指纹值。如果您认为仅使用公钥上传客户端证书是有值(value)的，请将其添加到我们的用户语音中。 http://aka.ms/apimwish